API 認(rèn)證
API 認(rèn)證
API Authentication
簡(jiǎn)介
默認(rèn)情況下,Laravel 為 API 認(rèn)證提供了一個(gè)簡(jiǎn)單的解決方案,它通過(guò)一個(gè)隨機(jī)令牌分配給應(yīng)用程序的每個(gè)用戶。在你的 config/auth.php
配置文件中,已經(jīng)定義了一個(gè)使用 token
驅(qū)動(dòng)的 api
看守器。 這個(gè)驅(qū)動(dòng)程序負(fù)責(zé)檢查傳入請(qǐng)求上的 API 令牌,并驗(yàn)證它是否匹配數(shù)據(jù)庫(kù)中用戶分配的令牌。
注意: 雖然 Laravel 附帶了一個(gè)簡(jiǎn)單的基于令牌的身份驗(yàn)證保護(hù),但我們強(qiáng)烈建議您考慮 Laravel Passport 來(lái)實(shí)現(xiàn)提供 API 身份驗(yàn)證的健壯的生產(chǎn)應(yīng)用程序。
配置
數(shù)據(jù)庫(kù)準(zhǔn)備
在使用 token
驅(qū)動(dòng)程序之前,你需要 創(chuàng)建一個(gè)遷移 它會(huì)在你的 users
表中添加一個(gè) api_token
列:
Schema::table('users', function ($table) { $table->string('api_token', 80)->after('password') ->unique() ->nullable() ->default(null); });
遷移創(chuàng)建后,運(yùn)行 migrate
Artisan 命令。
令牌生成
將 api_token
列添加到你的 users
表之后,你可以將隨機(jī) API 令牌分配給應(yīng)用程序中的每個(gè)用戶。 在注冊(cè)期間創(chuàng)建 User
模型時(shí),應(yīng)該分配這些令牌。 當(dāng)使用 make:auth
Artisan 命令提供的 認(rèn)證腳手架 , 這可以在 RegisterController
的 create
方法中完成:
use Illuminate\Support\Str;use Illuminate\Support\Facades\Hash; /** * 在有效注冊(cè)之后創(chuàng)建一個(gè)新用戶實(shí)例: * * @param array $data * @return \App\User */ protected function create(array $data){ return User::create([ 'name' => $data['name'], 'email' => $data['email'], 'password' => Hash::make($data['password']), 'api_token' => Str::random(60), ]); }
哈希令牌
在上面的示例中,API 令牌以純文本的形式存儲(chǔ)在數(shù)據(jù)庫(kù)中。如果你希望使用 SHA-256 散列對(duì) API 令牌進(jìn)行散列, 你可以將 api
看守器配置的 hash
選項(xiàng)設(shè)置為 true
。 api
看守器在你的 config/auth.php
配置文件中定義:
'api' => [ 'driver' => 'token', 'provider' => 'users', 'hash' => true, ],
生成哈希令牌
使用哈希令牌時(shí), 你不應(yīng)該在用戶注冊(cè)期間生成 API 令牌。 相反, 你需要在應(yīng)用程序中實(shí)現(xiàn)自己的 API 令牌管理頁(yè)面。 這個(gè)頁(yè)面應(yīng)該允許用戶初始化和刷新其 API 令牌。 當(dāng)用戶發(fā)出初始化或者刷新令牌請(qǐng)求時(shí),你應(yīng)該在數(shù)據(jù)中存儲(chǔ)令牌的哈希副本,并將令牌的純文本副本返回到視圖 / 前端客戶端進(jìn)行一次顯示。
例如,為給定用戶初始化 / 刷新令牌并將純文本令牌作為 JSON 響應(yīng)返回的控制器方法可能如下所示:
<?php namespace App\Http\Controllers; use Illuminate\Support\Str; use Illuminate\Http\Request; class ApiTokenController extends Controller{ /** * 更新已經(jīng)驗(yàn)證過(guò)的用戶的 API 令牌。 * * @param \Illuminate\Http\Request $request * @return array */ public function update(Request $request) { $token = Str::random(60); $request->user()->forceFill([ 'api_token' => hash('sha256', $token), ])->save(); return ['token' => $token]; } }
{tip} 因?yàn)樯厦胬又械?API 令牌具有足夠的熵,創(chuàng)建一個(gè) "rainbow tables" 來(lái)查找散列令牌的原始值是不切實(shí)際的。 因此,不需要使用
bcrypt
之類的慢散列方法:
路由保護(hù)
Laravel 包含一個(gè) 身份認(rèn)證看守器 可以自動(dòng)驗(yàn)證傳入請(qǐng)求的 API 令牌。 你只需要在任何需要有效訪問(wèn)令牌的路由上指定 auth:api
中間件:
use Illuminate\Http\Request; Route::middleware('auth:api')->get('/user', function(Request $request) { return $request->user(); });
請(qǐng)求中傳遞令牌
有幾種方法可以將 API 令牌傳遞給你的應(yīng)用程序。 我們將在使用 Guzzle HTTP 庫(kù)演示其用法時(shí)去討論這些方法。 你可以根據(jù)應(yīng)用程序的需要選擇其中的任何方法。
請(qǐng)求參數(shù)
你的應(yīng)用程序的 API 使用者可以將其令牌作為 api_token
查詢字符串值:
$response = $client->request('GET', '/api/user?api_token='.$token);
請(qǐng)求負(fù)載
應(yīng)用程序的 API 使用者可以在請(qǐng)求的表單參數(shù)中以 api_token
的形式包含其 API 令牌:
$response = $client->request('POST', '/api/user', [ 'headers' => [ 'Accept' => 'application/json', ], 'form_params' => [ 'api_token' => $token, ], ]);
Bearer 令牌
應(yīng)用程序的 API 使用者可以在請(qǐng)求的 Authorization
頭中提供其 API 令牌作為 Bearer
令牌:
$response = $client->request('POST', '/api/user', [ 'headers' => [ 'Authorization' => 'Bearer '.$token, 'Accept' => 'application/json', ], ]);